Trasferimento di dati personali all’estero (artt. 44-49 GDPR), servizi cloud aziendali e audit privacy nelle cessioni d’azienda e M&A

Avv. Renato Giuseppe Fiorentino, Foro di Napoli, Albo n. 27781 — Avvocato cassazionista — Aggiornato il 13 novembre 2026

Cosa fare subito (Checklist Operativa)

1. Verificare dove sono localizzati i server dei fornitori cloud, gestionali, servizi di posta e piattaforme di newsletter utilizzati dall’azienda.
2. Controllare lo strumento di trasferimento ex Capo V GDPR: verificare se il Paese terzo beneficia di una Decisione di Adeguatezza della Commissione Europea (art. 45 GDPR, come il Data Privacy Framework per le aziende USA certificate) o se occorre sottoscrivere le Clausole Contrattuali Tipo (SCC ex art. 46 GDPR) con valutazione Transfer Impact Assessment (TIA).
3. In caso di acquisizione o cessione d’azienda (art. 2555 c.c.): eseguire una due diligence legale sulle banche dati commerciali per accertare che i consensi dei clienti siano stati raccolti validamente e inserire nel contratto specifiche garanzie di manleva (indemnity).

1. Quali sono le regole per trasferire dati personali fuori dall’Unione Europea (artt. 44-49 GDPR)?

Il Capo V del Regolamento (UE) 2016/679 (artt. 44-49 GDPR) vieta il trasferimento di dati personali verso Paesi extra-UE o organizzazioni internazionali se non è garantito un livello di protezione sostanzialmente equivalente a quello europeo. Gli strumenti legittimi seguono un ordine gerarchico:

1. Decisione di adeguatezza (art. 45 GDPR): il trasferimento è ammesso senza ulteriori autorizzazioni se la Commissione Europea ha accertato che il Paese terzo offre garanzie adeguate.
2. Garanzie adeguate e Clausole Contrattuali Tipo — SCC (art. 46 GDPR): in mancanza di decisione di adeguatezza, l’esportatore deve stipulare le Standard Contractual Clauses o adottare Norme Vincolanti d’Impresa (Binding Corporate Rules — BCR ex art. 47 GDPR) per i gruppi multinazionali, verificando che la legislazione locale del Paese terzo non impedisca il rispetto delle clausole (principi della giurisprudenza CGUE Schrems II, Causa C-311/18).
3. Deroghe per specifiche situazioni (art. 49 GDPR): utilizzabili solo per trasferimenti occasionali e non ripetitivi.

2. Che fine fanno le banche dati clienti nella cessione d’azienda o di ramo d’azienda (art. 2555 c.c.)?

Quando un’impresa cede l’azienda o un ramo d’azienda (artt. 2555 e 2558 del Codice Civile), il portafoglio clienti e i database rappresentano spesso l’asset di maggior valore economico. Tuttavia:

• Per i dati necessari all’esecuzione dei contratti in corso (art. 6, par. 1, lett. b, GDPR), il cessionario subentra quale nuovo titolare del trattamento e deve fornire agli interessati l’informativa ex art. 14 GDPR entro un mese;
• Per i dati utilizzati a fini di marketing e profilazione, l’acquirente può utilizzarli solo se il cedente è in grado di provare documentatamente i consensi originari (art. 7 GDPR). Un database privo di prova del consenso è inutilizzabile e riduce drasticamente il valore dell’azienda acquisita.

Tabella Riepilogativa: Strumenti di Trasferimento Extra-UE e Verifiche M&A

Domande Frequenti (FAQ)

Usare un servizio cloud con sede negli Stati Uniti o nel Regno Unito richiede un contratto privacy specifico?

Sì. Occorre sempre stipulare il contratto di nomina a Responsabile del trattamento ex art. 28 GDPR e verificare che il fornitore rientri in una decisione di adeguatezza vigente (art. 45 GDPR) oppure sottoscrivere le Clausole Contrattuali Tipo (art. 46 GDPR).

Chi compra un’azienda può inviare subito newsletter promozionali ai vecchi clienti del venditore?

Solo se il venditore ha raccolto e documentato un valido consenso marketing (o se ricorrono i presupposti del soft spam ex art. 130, comma 4, Codice Privacy per prodotti analoghi) e dopo che l’acquirente ha inviato la propria informativa ex art. 14 GDPR indicando il cambio di titolarità.

Come ci si tutela nel contratto di compravendita societaria dai rischi di sanzioni privacy pregresse?

Inserendo nel contratto di acquisizione specifiche dichiarazioni e garanzie (Representations & Warranties) sulla conformità GDPR e un obbligo di manleva del venditore per qualsiasi violazione o contestazione riferita al periodo anteriore al closing.